Arcep 2026 : cloud, Data Act, DMA — ce que le rapport annuel change pour les DPO

L'Arcep a publié le 16 juillet 2026 le troisième tome de son rapport annuel sur l'état de l'internet en France. Derrière les indicateurs habituels (trafic, IPv6, neutralité du net), le régulateur y détaille sa feuille de route sur le cloud, la donnée et la régulation des plateformes — trois chantiers qui touchent directement les obligations RGPD des DPO en matière de sous-traitance et de gouvernance des données.

Ce qui s'est passé

Dans le cadre de la loi SREN, l'Arcep a publié une recommandation sur l'interopérabilité et la portabilité des services cloud, et proposé au gouvernement de fixer à zéro euro le montant maximal des frais de transfert de données lors d'un changement de fournisseur cloud — une mesure qui anticipe le Data Act européen. L'Autorité s'était déjà positionnée sur ce terrain en encadrant les frais de changement de fournisseur et le multi-cloud plus tôt cette année.

Sur le Data Governance Act, l'Arcep a reçu 10 notifications de prestataires de services d'intermédiation de données et attribué ses deux premiers labels « prestataire reconnu dans l'Union » à M-iTrust et Hub One DataTrust. L'Autorité se prépare par ailleurs à de nouvelles missions sur l'accès aux données des objets connectés, dans le cadre du projet de loi de transposition du Data Act présenté en novembre 2025.

Enfin, l'Arcep a formulé des propositions pour le réexamen du Digital Markets Act (DMA) : désigner certains grands fournisseurs de cloud comme acteurs dominants, tenir compte des services d'IA intégrés dans l'évaluation des obligations, et renforcer l'interopérabilité des messageries instantanées. Des recommandations dans la continuité des enquêtes en cours visant AWS et Azure comme services de plateforme essentiels.

Pourquoi c'est important pour les DPO

Ces trois chantiers convergent vers un même sujet pour les équipes conformité : la relation contractuelle avec les sous-traitants cloud. Le RGPD impose déjà, via son article 28, des garanties suffisantes et des clauses de réversibilité — mais ces obligations restent souvent théoriques tant que changer de prestataire coûte cher. En s'attaquant frontalement aux frais de sortie, l'Arcep retire un argument classique des fournisseurs cloud pour dissuader la portabilité, et donne du poids aux clauses de réversibilité déjà négociées.

Le volet Data Governance Act, de son côté, introduit une nouvelle catégorie d'acteurs — les intermédiaires de données labellisés — que les DPO devront apprendre à qualifier dans leurs cartographies de traitements dès lors que leur organisation recourt à des services d'échange ou de mutualisation de données.

Ce que ça change concrètement pour les organisations

• Anticiper l'échéance de janvier 2027 : les frais de changement de fournisseur cloud restent facturables jusqu'au 12 janvier 2027, date de leur interdiction totale prévue par le Data Act. Les DPO ont intérêt à renégocier dès maintenant leurs clauses de réversibilité plutôt que d'attendre l'échéance légale.
• Qualifier les intermédiaires de données : si l'organisation recourt à un prestataire d'intermédiation de données, vérifier s'il figure parmi les acteurs labellisés par l'Arcep au titre du Data Governance Act, et documenter cette relation dans le registre des traitements.
• Suivre la procédure DMA sur AWS et Azure : une désignation comme « gatekeeper » entraînerait de nouvelles obligations de transparence et d'interopérabilité pour ces fournisseurs, avec des répercussions directes sur les questionnaires fournisseurs et les DPA en cours.
• Préparer la transposition du Data Act : le projet de loi présenté en novembre 2025 doit confier à l'Arcep de nouvelles compétences sur les données des objets connectés — un chantier à surveiller pour les organisations exploitant des flottes IoT.

Ce que Leto pense de cette décision

La proposition de frais de transfert à zéro euro est une bonne nouvelle, mais elle reste une recommandation sans force contraignante avant l'échéance de 2027. En pratique, rien n'empêche un DPO d'obtenir dès aujourd'hui les mêmes garanties par la négociation contractuelle : l'article 28 du RGPD donne déjà les leviers juridiques nécessaires pour imposer des clauses de réversibilité sans frais disproportionnés. Attendre le calendrier réglementaire pour agir revient à laisser le rapport de force du côté du fournisseur.

Sources : Arcep — Rapport annuel, édition 2026